Cyber Essentials Plus 與 Microsoft 365：技術驗證到底測什麼、怎樣準備

一句話結論： Cyber Essentials Plus 在 Cyber Essentials 自評之上加了一次實地或遠程的技術審計。對一個 Microsoft 365 加 Intune 的環境，評估員會掃描你的公網 IP、隨機抽取一部分設備和服務器，檢查上面每個軟件是否仍受廠商支援、高危和嚴重補丁是否在 14 天內裝好、惡意軟件防護是否真的在工作，並現場觀察用戶登入雲服務時是否彈出多因素認證。按 v3.3 要求（「Danzell」 問卷，2026 年 4 月 27 日起），雲服務在可用的情況下沒有啓用 MFA 會被直接判定不通過。準備工作的重點是證據：能覆蓋整個環境的報表，而不只是評估員碰巧抽到的那幾台設備。

如果你的組織已經拿到 Cyber Essentials，再往前一步做 Cyber Essentials Plus（Microsoft 365 環境），看起來只是小事：還是那五項技術控制。真正變化的是由誰來檢查。基礎證書依靠的是由高層簽字確認的問卷答案；Plus 則讓評估員直接面對你的真實設備和真實的登入提示，而那些從來沒有寫進文件的缺口，往往就在這裡暴露。

本文只講 Microsoft 365 / Intune 環境下的技術驗證：測什麼、2026 年 4 月的變化意味著什麼、哪些 Microsoft 365 報表可以作為證據、以及最常見的失分點。五項控制本身以及它們在 Microsoft 365 中的對應關係，請先閱讀我們的 Cyber Essentials 與 Microsoft 365 控制項指南；本文接著它的「Cyber Essentials 與 Plus 的區別」一節往下講。

先把一點說清楚：Brocent 不是 Cyber Essentials 認證機構，不頒發也不評審證書。在英國，認證由 NCSC 的方案交付合作方 IASME 及其授權的認證機構和評估員負責。我們做的是在評估員到來之前，幫助你準備和整理證據。

Cyber Essentials Plus 是什麼？與 Cyber Essentials 有何不同？

Cyber Essentials 是英國政府支援、由國家網絡安全中心（NCSC）主管的認證方案，規定了五項技術控制：防火牆、安全配置、安全更新管理、用戶訪問控制和惡意軟件防護。基礎證書是一種經審核的自我評估：回答問卷、由高層簽字、評估員審核答案。

Cyber Essentials Plus 沿用相同的要求，但增加一次技術審計。按 IASME 的說法，審計可以現場或遠程進行，包括對申報範圍內基礎設施的漏洞掃描，以及對抽樣設備的實際檢查。IASME 的兩條規定直接影響時間安排：

• 先後順序： Plus 審計必須在最近一次 Cyber Essentials 認證後的三個月內完成（兩者也可以同時進行）。
• 同一範圍： 評估員抽樣的範圍就是你在自評中申報的範圍。紙面上劃得寬的範圍，就是評估員要從中抽樣的範圍。

目前新評估適用的要求文件是 NCSC 發佈的 Cyber Essentials: Requirements for IT Infrastructure v3.3，配套的 IASME 問卷名為 「Danzell」。IASME 說明它適用於 2026 年 4 月 27 日起創建的評估帳戶；更早按 v3.2（「Willow」）創建的帳戶繼續沿用舊版本。方案大約每年更新一次，開始準備當天請再到 NCSC 的 Cyber Essentials 資料頁確認最新版本。

Cyber Essentials Plus 評估員實際測試哪些內容？

根據 IASME 的指引和 NCSC 的測試規範，技術驗證大致分為五項檢查。下面的表述是我們的歸納；評估員依據的是現行測試規範，審計前應完整閱讀那份文件。

檢查一：外部漏洞掃描

評估員使用 IASME 認可的掃描廠商工具，掃描你的每一個公網 IP。在以雲為主的 Microsoft 365 環境裡，這份清單通常很短：辦公室路由器或防火牆、VPN 網關、以及任何自行架設的系統。出問題的往往是被遺忘的東西：防火牆上開著的遠程管理界面、為某個供應商轉發的舊遠程桌面端口、幾年前發佈到互聯網上的 NAS。

檢查二：隨機抽樣設備和服務器

評估員會抽取有代表性的終端設備樣本（IASME 稱通常約為 10%），以及所有互聯網網關和所有向未認證互聯網用戶提供服務的服務器。對每台抽到的設備，通過帶憑據的漏洞掃描或人工檢查確認：

• 所有已安裝軟件都仍受廠商支援。 一個過期的瀏覽器擴展、一箇舊版 PDF 閱讀器、一個沒人記得裝過的執行庫，都算。
• 高危和嚴重安全更新在發佈後 14 天內已安裝，這是 Cyber Essentials 安全更新管理的要求。

檢查三：惡意軟件防護

測試規範包含對抽樣設備惡意軟件防護是否真正生效的檢查，例如 Microsoft Defender 防病毒是否在運行、是否為最新，以及能否處理通過郵件和網頁投遞的測試文件。

檢查四：雲服務 MFA

這是 Microsoft 365 環境裡最關鍵的一項。評估員會在不受信任的設備或瀏覽器私密瀏覽視窗中，觀察用戶用組織帳戶登入每一個雲服務，確認會出現多因素認證。已發佈的 Cyber Essentials Plus 測試規範（v3.2）寫明：每個雲服務至少抽一個普通用戶和一個管理員；共用同一身份提供方的服務，只需對該身份提供方測試一次。截至本文撰寫時，我們沒有找到專門針對 v3.3 的測試規範，評估前請確認是否已有新版。如果你所有的 SaaS 應用都通過 Microsoft Entra ID 登入，就是一次測試，結果覆蓋全部應用。

檢查五：帳戶分離與管理權限

評估員會檢查用戶日常工作時沒有使用管理員權限，管理員帳戶只用於管理，而不是收發郵件和上網。在 Windows 終端上，這意味著查看抽樣設備的本地管理員組；在 Microsoft 365 裡，則是查看誰持有全局管理員和其他特權角色。

2026 年 4 月（v3.3，「Danzell」）對 Plus 有哪些變化？

對準備 Plus 的 Microsoft 365 組織來說，2026 年 4 月的更新有三點最重要，均見於 IASME 的公告和 NCSC 的 v3.3 要求。

• 雲服務缺少 MFA 直接不通過。 IASME 明確，只要雲服務提供 MFA（無論是隨訂閱附帶還是需要另購），就必須啓用；沒有啓用的組織將被直接判定不通過。「大部分員工已經有 MFA」不再是可以接受的部分答案。
• 雲服務不能排除在範圍之外。 v3.3 增加了雲服務的定義，並將其納入範圍。Microsoft 365、財務系統、人事系統、CRM 都在內。
• 抽樣不通過會觸發更大範圍的複測。 首次隨機抽樣不通過時，需要整改，評估員會複測原有樣本，同時再抽一批新的隨機樣本。IASME 解釋了原因：有些組織只給被抽中的設備打了補丁。IASME 的認證機構附則還寫明：使用 Danzell 問卷的 Plus 評估若因軟件未打補丁而不通過，與之關聯的 Cyber Essentials 證書將被撤銷。

第三點把準備工作變成了覆蓋整個環境的工作。過去，修好評估員在十台手提電腦上發現的問題可能就夠了；現在修復必須在整個範圍內真實生效，因為下一批抽到的會是另外十台。

這些測試在 Microsoft 365 和 Intune 裡對應什麼？

每一項測試在 Microsoft 365 管理工具裡都有對應的位置。這也是我們準備證據時查看的地方，評估員的發現通常也能追溯到這裡。

• 雲服務 MFA → Microsoft Entra ID。 要求所有用戶、所有云應用使用 MFA 的條件訪問策略（規模很小的租戶可用安全預設值）；顯示誰真正註冊了認證方式的註冊報告；以及顯示 MFA 已滿足的登入日誌。注意仍被允許的舊式認證、沒有書面例外說明的緊急訪問帳戶，以及不經 Entra、用自身帳號密碼登入的第三方 SaaS。
• 14 天內安裝補丁 → Intune 與 Windows Update for Business。 更新通道和功能/質素更新策略，以及顯示哪些設備落後的 Windows 更新報表。第三方應用是常見缺口：Windows 更新按時，同一台電腦上的瀏覽器、Java 執行庫或 PDF 閱讀器卻落後幾個月。
• 受支援的軟件 → Intune 已發現應用。 已發現應用清單是在評估員掃描之前找出過期軟件最快的辦法。
• 惡意軟件防護 → Microsoft Defender。 Intune 終端安全中的防病毒策略，以及顯示每台已註冊設備實時保護開啓、特徵庫最新的設備健康報表。
• 帳戶分離 → Entra 角色與 Intune 本地管理員策略。 列出每個特權角色及其負責人、管理員使用獨立的管理帳戶，以及控制 Windows 設備本地管理員組的 Intune 策略。
• 安全配置 → Intune 合規與配置策略。 設備合規策略（加密、防火牆、最低系統版本）以及顯示哪些設備達標的合規報表。

我們的 Intune 設備審計 一文對這些 Intune 報表有更詳細的說明，Intune 審計示例報告（英文）則展示了它們最終呈現的格式。

Plus 審計前應準備哪些證據？

評估員只測樣本，但 2026 年 4 月的複測規則意味著你需要掌握整個環境的狀態。一份有用的證據文件夾，可以在審計前兩週準備，包含：

1. 範圍說明，與自評一致：哪些辦公室、哪些設備、哪些雲服務，以及任何排除項的理由（雲服務不能排除）。
2. 設備清單，從 Intune 導出，含系統版本、最後簽到時間和合規狀態，並與資產清單核對，讓不在 Intune 裡的設備也可見。
3. MFA 覆蓋導出： 條件訪問策略、註冊報告，以及每個被排除在 MFA 之外的帳戶及其理由。
4. 補丁狀態，涵蓋操作系統和第三方應用，列出所有超出 14 天窗口的項目及處理計劃。
5. 特權訪問清單： Microsoft 365 和終端上每個具有管理角色的帳戶，以及每位管理員日常使用的獨立帳戶。
6. 惡意軟件防護狀態，來自 Defender，覆蓋範圍內每台設備。
7. 外部暴露面： 公網 IP 清單，以及每個 IP 暴露了什麼。

這些都不是 Plus 證書。它們的作用是讓你在評估員之前就知道樣本能否通過。

Plus 準備的三種做法

我們接觸到的英國組織，大致有三種準備方式。三種都合理，區別在於把多少風險留到審計當天。

• 直接約評估員： 準備工作最少，審計本身就成了發現問題的過程。在複測規則下，樣本不通過意味著要在整個環境內整改，再接受第二次抽樣，時間緊迫，證書也受影響。
• 內部預檢： 由自己的 IT 團隊跑上面的報表。當團隊對 Entra、Intune 和補丁全程負責時效果很好；常見弱點是第三方應用補丁，以及不經 Entra 登入的雲應用。
• 獨立的 Microsoft 365 預評估： 由日常團隊以外的人對照 v3.3 控制項審查租戶和設備，交回帶日期的證據和整改清單。這需要預先投入，也不能替代評估員或給出任何認證；它的價值在於趁還有時間時，在整個環境裡補上缺口。

Brocent 能做什麼、不能做什麼

我們的 Microsoft 365 安全審計 是對租戶和 Intune 管理設備的一次性固定價格審查，按人數定價：10 人以內 450 美元起，固定價格方案最高覆蓋 150 人，報告在 5–7 個工作日內交付。報告包含 Microsoft 365 視角的 Cyber Essentials v3.3 就緒度表（雲服務 MFA、管理員帳戶、舊式認證和安全配置），每一行都指向一份帶日期的導出文件。

需要說清楚的是：這是準備階段的證據，設計用於在 Cyber Essentials 評估中作為證據使用。它不是 Cyber Essentials Plus 審計，不證明任何認證結果，認證機構和評估員會在審計當天自行判斷。它也只覆蓋 Microsoft 365 和 Intune 視角；辦公室互聯網出口的外部漏洞掃描，以及不在 Intune 管理下的設備，需要另行檢查。

對於英國客戶，合約由 Brocent 香港公司或新加坡總部簽訂，英國境內的現場工作由我們協調的、經審核的本地工程師完成；具體交付內容見我們的 英國 IT 支援頁面（英文）。如果你不確定預評估對你的環境是否值得，可以先 諮詢顧問 再決定。

Microsoft 365 環境在 Plus 抽樣中常見的失分點

從控制項本身看，評估員抽樣 Microsoft 365 / Intune 環境時最可能發現的缺口是：

• 不經 Entra 的雲服務。 某個 SaaS 工具仍用自己的帳號密碼登入，MFA 可用但沒開。按 v3.3，僅此一項就直接不通過。
• 越來越大的 MFA 例外。 當初為遷移設立的條件訪問排除組，至今還留著十幾個用戶。
• 第三方應用過期。 Windows 打了補丁，但抽到的手提電腦上瀏覽器或執行庫沒有。
• 從未註冊的設備。 董事用來收公司郵件的個人手提電腦，或註冊過一次、幾個月沒有簽到的設備。
• 日常使用的管理員帳戶。 管理員用全局管理員帳戶收郵件、上網。
• 被遺忘的暴露面。 辦公室防火牆上的端口轉發或管理界面，出現在外部掃描結果裡。

MFA 例外的問題，我們在 網絡保險 MFA 要求 一文中有更深入的討論；保險公司和 Cyber Essentials 問的是同一個問題，只是措辭不同。

常見問題

Microsoft 365 要通過 Cyber Essentials Plus，是否需要每個用戶都啓用 MFA？

按 v3.3，IASME 明確所有提供 MFA 的雲服務都必須啓用，否則直接不通過。評估員的測試對每個雲服務（或共用登入的身份提供方）至少抽一個普通用戶和一個管理員。實際上這意味著每個用戶都要啓用，因為你無法預知會抽到哪些帳戶，而申報覆蓋的是全部帳戶。

Cyber Essentials Plus 是否要求使用 Intune？

不要求。Cyber Essentials 不指定任何產品。Intune 只是 Microsoft 365 組織通常獲取設備安全配置、補丁、惡意軟件防護和管理權限證據的地方。不受 Intune 管理的設備仍在範圍內，需要用其他方式落實同樣的控制。

Plus 測試中的「14 天內安裝補丁」是什麼意思？

Cyber Essentials 要求高危和嚴重安全更新在發佈後 14 天內安裝。評估員會按這條規則檢查每台抽樣設備上的已安裝軟件，並確認所有軟件仍受廠商支援。它適用於操作系統，也適用於應用程序、瀏覽器擴展和固件。

Microsoft 365 安全審計能代替 Cyber Essentials Plus 嗎？

不能。只有授權認證機構在其評估員完成技術審計後，才能授予 Cyber Essentials Plus。我們這樣的 Microsoft 365 安全審計屬於準備階段的證據，設計用於在評估中作為證據使用，並提前讓你看到缺口。

設備抽樣不通過會怎樣？

按 2026 年 4 月的規則，你需要整改，評估員會複測原樣本，並再抽一批新的隨機設備。IASME 的認證機構附則寫明，使用 Danzell 問卷的 Plus 評估若因軟件未打補丁而不通過，與之關聯的 Cyber Essentials 證書將被撤銷，因此修復必須覆蓋整個範圍，而不只是被抽中的設備。

應該提前多久開始準備？

取決於缺口有多少。如果只發現少量 MFA 例外和一些過期應用，幾天就能處理完；如果發現有設備不在 Intune 裡，或某個雲服務不支援 MFA，可能需要更長的變更週期。在 Plus 窗口前幾周開始準備，並記住它必須在 Cyber Essentials 認證後三個月內完成，就能給兩種情況都留出餘地。

Brocent 能在英國提供現場支援嗎？

可以，範圍以我們的英國 IT 支援頁面為準：英國客戶與 Brocent 香港公司或新加坡總部簽約，現場工作由我們協調的、經審核的本地工程師完成。Microsoft 365 安全審計本身以遠程方式進行。

資料來源

本文涉及的要求和方案規則，取自 NCSC《Cyber Essentials: Requirements for IT Infrastructure v3.3》、NCSC Cyber Essentials Plus 測試規範（v3.2），以及 IASME 關於 2026 年 4 月變化和 Cyber Essentials 與 Plus 區別的公開說明，以 2026 年 10 月 31 日可查閱的版本為準。方案文件會更新，請以 ncsc.gov.uk 和 iasme.co.uk 上的現行版本為準。